随着网络技术和分布技术的发展,信息安全己经成为现代管理信息系统设计中一个非常重要的问题。为保证系统的信息安全,特别是敏感和重要信息的安全性,人们提出了很多的安全机制和模型,其中安全访问控制是保证信息安全有效的方式之一。本文首先对访问控制的国内外研究现状进行了分析,指出了传统访问控制——自主访问控制和强制访问控制已不能满足当今系统的安全需求,从而提出了基于角色的访问控制技术。基于角色的访问控制RBAC引入了角色,将权限和角色相关联,通过给用户分配适当的角色以授予用户权限,实现了用户和访问权限的逻辑分离。将RBAC引入信息管理系统,克服了传统访问控制的不足,提供了一个较好的实现安全访问的控制策略,使得制订和执行保护策略的过程更加灵活,也简化了管理员的管理工作。在介绍分析RBAC96和RBAC97两种具有代表性的基于角色的访问控制模型的基础上,结合东莞电信销售系统权限管理子系统的具体特点,对RBAC模型的角色设计做了扩展。对角色继承和角色权限授予分别增加优先级概念,从而避免权限继承时的冲突问题:通过将权限划分为公共权限和私有权限,并引入公共继承和常规继承两种继承机制来解决私有角色引起的问题。在此基础上给出了权限系统的RBAC设计方案,包括用户设计、角色设计、权限设计、授权设计、约束管理设计等,最后对基于RBAC东莞电信销售系统权限管理系统进行了数据库详细设计及功能模块设计,并在.NET平台上实现了身份认证、用户角色分配和角色权限分配。完成了基于角色的访问控制模型在权限系统中的实现。论证了设计方案在东莞电信销售系统权限管理子系统中应用的可行性。